Claude Codeの編集機能に欠陥｜修正は8月の2.1.251

2026年10月26日 11時43分（協定世界時、以下UTC。日本時間 20時43分）、Anthropic が AI のコーディング支援の道具 Claude Code のリポジトリで、安全上の勧告 GHSA-5xjx-9qx6-jcrv を公開しました。CVE の番号は CVE-2026-88968、深刻度は「高」です。ファイルを書き換える編集ツール（Edit）が、作業フォルダの外のファイルを上書きしうる欠陥で、修正版の 2.1.251 は8月28日に npm で配布済みでした。影響を受けるのは、npm の @anthropic-ai/claude-code の 2.1.251 未満を macOS で使い、Bash のサンドボックスの中で信頼できないコードが動く場合です。勧告によると、標準の自動更新を使う利用者には修正がすでに届いています。

10月26日に公開された勧告 GHSA-5xjx-9qx6-jcrv の中身

勧告の題は「編集ツールの TOCTOU 競合により作業フォルダの外へのファイルの書き込みが可能」です。TOCTOU（検査時と使用時のずれ）は、安全を確かめた時点と、実際にファイルを使う時点の間に、対象が入れ替わることで起きる欠陥の型を指します。勧告は欠陥の分類として、リンクをたどってしまう欠陥（CWE-59）と、検査と使用のずれ（CWE-367）の2つを挙げています。

勧告によると、Claude Code の編集ツールは、書き込み先のパスを、その時点のパス名とシンボリックリンク（別の場所を指す名前）の解決で検査していました。ただし、その検査の結果は、ディレクトリの実体（inode）やファイル記述子に結び付いていなかったと書かれています。検査が終わってから書き込むまでの間に、作業フォルダの中の親ディレクトリが別の場所を指すリンクに替わると、編集ツールは検査したものとは違う場所に書くことになります。

勧告が示した結果は、作業フォルダの外にある、利用者が書き込める任意のファイルの上書きです。影響を受けるパッケージは npm の @anthropic-ai/claude-code で、対象の版は「2.1.251 未満」、修正版は「2.1.251」と記されています。報告者は、脆弱性の報告の仲介サービス HackerOne の利用者 mahoraga007（Sunder Singh 氏）です。

Claude Code の編集ツールと Bash サンドボックスの分担

Claude Code は、AI が端末の中でファイルを読み書きし、コマンドを実行する道具です。ファイルの操作には、読み取りの Read、書き込みの Write、書き換えの Edit という専用の道具があります。コマンドの実行は Bash の道具が受け持ちます。公式の説明書によると、サンドボックスが閉じ込めるのはコマンドの実行の側で、Bash などのシェルの道具と、そこから起動したプロセスが対象です。

説明書は、Read・Edit・Write などの組み込みのファイルの道具はサンドボックスの外で動き、サンドボックスではなく権限の規則に従うと書いています。サンドボックスは既定では無効で、利用者が設定で有効にします。有効にした場合、サンドボックスの中のコマンドが書き込めるのは、作業フォルダと利用者ごとの一時フォルダ、利用者が追加したフォルダです。読み取りは端末のほとんどの場所に及びます。

サンドボックスの仕組みは端末の種類で違います。説明書によると、macOS では標準の仕組み Seatbelt を使い、Linux と WSL2 では bubblewrap という仕組みを使います。Windows の上でそのまま動かす場合、コマンドはサンドボックスなしで実行されます。今回の勧告は、この2つの層のうち、サンドボックスの中のプロセスと、外で動く編集ツールの組み合わせで起きた欠陥です。

検査のあとに入れ替わる親ディレクトリ：欠陥の型

勧告が記す流れを、手順として再現できない粒度でまとめると次のとおりです。まず、編集ツールが書き込み先を確かめ、作業フォルダの中だと判定します。その後、サンドボックスの中で動くプロセスが、作業フォルダの中の親ディレクトリを、外を指すシンボリックリンクに入れ替えます。勧告はこの入れ替えを「不可分に（一度に）」行うと書いています。

サンドボックスの中のプロセスは、作業フォルダの中なら書き込めます。そのため、作業フォルダの中のディレクトリを入れ替えること自体は、サンドボックスの決まりの範囲内です。一方、サンドボックスの外で動く編集ツールは、外のファイルにも書き込める権限を持っています。入れ替えのあとに編集ツールが書き込むと、リンクをたどって作業フォルダの外のファイルが書き換わります。

どちらか一方だけでは、作業フォルダの外には書けません。サンドボックスの中のプロセスは外に書けず、編集ツールは権限の検査で外への書き込みを断ります。2つが組み合わさったときに境界が破れる点で、この欠陥はサンドボックス越えの一種です。勧告は、検査の結果がディレクトリの実体に結び付いていなかったことを原因として挙げています。

悪用に必要な条件：サンドボックスの中で攻撃者のコードが動くこと

勧告は、悪用には「サンドボックスの中で攻撃者が用意したコードを動かせること」が必要だと明記しています。例として挙げられているのは、悪意のあるリポジトリと、依存関係のスクリプトです。開発者が信頼できないリポジトリを開き、Claude Code にビルドや試験を実行させると、その中のスクリプトがサンドボックスの中で動きます。

依存関係のスクリプトは、パッケージを入れるときなどに自動で動く処理です。利用者が中身を確かめずに動かすことが多く、悪性のパッケージの入口になってきました。勧告の条件は、こうしたサンドボックスで閉じ込めたつもりのコードが、編集ツールを通じて外に書き込むという状況です。サンドボックスを使う理由そのものが、信頼できないコードを動かすためである点に関わります。

勧告は、利用者の操作がどこまで要るかを文章では書いていません。深刻度の評価式（後の節で記す）では、利用者の受け身の関与と、攻撃の前提となる条件があることが示されています。上書きされうるのは、利用者が書き込めるファイルです。管理者の権限が要る領域のファイルが対象になるとは、勧告には書かれていません。

影響を受ける版と環境：2.1.251 未満の macOS

勧告の対象の版は「2.1.251 未満」です。下限は書かれておらず、2.1.251 より前の版がすべて対象として記されています。npm の記録で、2.1.251 の直前に公開された版は、8月27日 22時27分 UTC の 2.1.250 です。勧告が影響の環境として明記しているのは macOS で、Linux と Windows については記載がありません。

影響が出るのは、サンドボックスを有効にして使っている場合です。説明書によると、サンドボックスは既定では無効です。無効のまま使っている場合、コマンドはそもそも作業フォルダの外にも書き込める状態で動き、勧告の示す「サンドボックスからの抜け道」という形にはなりません。Windows の上でそのまま動かす場合も、説明書によればコマンドはサンドボックスなしで実行されます。

項目	勧告と説明書に基づく内容
パッケージ	npm の @anthropic-ai/claude-code
対象の版	2.1.251 未満（下限の記載なし）
修正版	2.1.251（2026年8月28日 15時34分 UTC 公開）
明記された環境	macOS（Linux・Windows の記載なし）
悪用の前提	サンドボックスの中で攻撃者のコードが動くこと
上書きされうるもの	作業フォルダの外の、利用者が書き込めるファイル
自動更新の利用者	修正は届いていると勧告に記載

企業の端末で論点になるのは、自動更新を止めて、特定の版に固定している環境です。勧告の「自動更新の利用者には届いている」という説明は、版を固定した環境には当てはまりません。2.1.251 の公開から10月26日までに、npm には50を超える版が公開されています。

8月28日の修正から10月26日の公表までの経緯

修正版の配布から勧告の公開までは、58日でした。npm の公開時刻と、勧告の公開時刻、関連する出来事を並べると次のとおりです。日本時間は UTC に9時間を足した時刻です。

日時（UTC）	日本時間	出来事
2026/08/27 22:27	2026/08/28 7:27	2.1.250 が npm に公開される（対象の版で最後の版）
2026/08/28 15:34	2026/08/29 0:34	修正版 2.1.251 が npm に公開される
2026/08/31 17:07	2026/09/01 2:07	2.1.252 が公開される
2026/10/05 12:45	2026/10/05 21:45	同じ型の勧告 GHSA-5j29-h97v-84ch が公開される
2026/10/23 21:20	2026/10/24 6:20	2.1.310 が公開される（10月26日時点の通常の最新版）
2026/10/26 11:43	2026/10/26 20:43	勧告 GHSA-5xjx-9qx6-jcrv が公開される
2026/10/26 20:39	2026/10/27 5:39	米国の脆弱性データベース NVD に、CVE-2026-88968 の記録が無いことを確認

10月26日時点で、npm の配布の区分は、通常の最新版が 2.1.310、安定版が 2.1.308、先行版が 2.1.311 です。どの区分の版も、修正版の 2.1.251 より新しい版です。勧告の公開は、修正が入った版の利用が広がったあとに中身を明かす形になりました。

2.1.251 の変更履歴にあった修正の記載

Claude Code のリポジトリの変更履歴には、2.1.251 の項目に、ファイルの道具の修正が1行で記されています。その記載によると、Read・Write・Edit の3つのファイルの道具が、権限の確認のあとに作業フォルダの中で入れ替えられたシンボリックリンクをたどり、承認された場所の外を読み書きしうる状態を直したという内容です。

この記載と勧告には、範囲の違いがあります。勧告の題と本文は編集ツール（Edit）だけを挙げ、影響を「書き込み」としています。変更履歴は Read と Write も挙げ、「読み書き」としています。変更履歴の記載が今回の勧告と同じ欠陥を指すのかどうかは、どちらの文書にも明記されていません。10月26日時点で、Read と Write についての個別の勧告は出ていません。

同じ 2.1.251 の変更履歴には、ほかにも権限の境界に関わる修正が並んでいます。プラグインの命令がプラグインのフォルダの外を指せた件、検索の道具 Grep と Glob がリンクを通じた検索で読み取りの禁止の規則を適用していなかった件などです。これらに対応する勧告は、10月26日時点で出ていません。

深刻度「高」と CVSS 第4.0版の 7.7

勧告の深刻度は「高」です。脆弱性の深刻度を表す共通の評価方式 CVSS は、第4.0版の点数だけが付いており、7.7です。第3.1版の欄は空のままでした。Claude Code の勧告では第4.0版の点数だけを付ける例が多く、今回を含む32件のうち15件が同じ7.7です。

評価式の中身を見ると、攻撃の経路は「ネットワーク」、攻撃の難しさは「低」、必要な権限は「なし」とされています。一方で、攻撃の成立に前提となる条件がある（AT:P）とされ、利用者の関与は「受け身」（UI:P）です。受け身の関与は、利用者がリポジトリを開いて道具を動かす、といった通常の操作を指す区分です。

影響の評価は、機密性・完全性・可用性のいずれも「高」です。影響が対象の製品の外に広がるかを示す項目は、3つとも「なし」とされています。作業フォルダの外のファイルを上書きできる欠陥ですが、評価式の上では、影響は Claude Code を動かす端末の利用者の範囲にとどまるという扱いです。

CodeAnt AI の報告と勧告のずれ

10月26日、セキュリティ企業の CodeAnt AI が、macOS の Claude Code で、親ディレクトリの入れ替えによる TOCTOU の欠陥を見つけたという報告を公開しました。報告者は同社の Amartya Jha 氏です。報告は、サンドボックスの中のプロセスが作業フォルダの中のディレクトリに手を加え、外で動く編集ツールが、権限の確認で承認したものとは別のファイルを書き換えた、と説明しています。

報告によると、同社は2026年7月22日に HackerOne で報告し、Anthropic は7月24日に深刻度「高」として受け付けました。8月10日に報奨金が支払われ、金額は伏せられています。報告が示す評価は、CVSS 第4.0版の7.7で、評価式も勧告と同じです。検証した版は 2.1.217 で、端末は arm64 の macOS とされています。

一方で、報告は勧告の番号 GHSA-5xjx-9qx6-jcrv にも CVE-2026-88968 にも触れていません。勧告が報告者として名前を挙げたのは mahoraga007（Sunder Singh 氏）で、CodeAnt AI の報告者とは別の人物です。報告は、修正の状況は公には確かめられていないとも書いています。同じ欠陥を別々に報告したものか、別の欠陥かは、10月26日時点の公開情報からは分かりません。

10月5日の勧告 GHSA-5j29-h97v-84ch との違い

Claude Code では、10月5日にも TOCTOU の勧告 GHSA-5j29-h97v-84ch（CVE-2026-103435、深刻度「高」）が出ていました。この勧告では、書き込み先が作業フォルダの中にあることを権限の確認の時点で確かめていたものの、書き込みの時点でパスを解決し直し、確認を繰り返していませんでした。プロジェクトのファイルそのものをリンクに入れ替えると、外のファイルに書き込まれる、という内容です。

10月5日の件の前提は、作業フォルダに書き込める別の攻撃者がいることでした。勧告は、権限の低い攻撃者が、権限の高い利用者の通常の編集を、シェルの設定のような重要なファイルへ向けられたと書いています。修正版は 2.1.129 で、npm の公開は5月5日です。公表まで約5か月かかりました。

今回の件は、入れ替えの対象がファイルではなく親ディレクトリで、入れ替える主体がサンドボックスの中のプロセスです。前提も、同じ作業フォルダを共有する別の利用者ではなく、サンドボックスの中で動く攻撃者のコードです。どちらの勧告も分類に検査と使用のずれ（CWE-367）を挙げており、Claude Code の勧告でこの分類が付いたのは、10月の2件だけです。

Claude Code の過去の勧告32件の内訳

anthropics/claude-code のリポジトリには、10月26日時点で36件の勧告が公開されています。このうち4件は Claude Desktop を対象とする勧告で、npm の Claude Code を対象とするのは32件です。32件の深刻度は、「高」が25件、「中」が4件、「低」が3件です。公開の年で分けると、2025年が13件、2026年が19件でした。

32件のうち、リンクの扱いの欠陥（CWE-59 か CWE-61）を分類に挙げた勧告は、今回を含めて7件です。2025年10月と2026年2月の2件は、利用者が読み取りを禁じたファイルに、リンクを通じて届いた件で、どちらも「低」でした。2026年4月以降の5件は、作業フォルダの外への書き込みや、サンドボックスの外での実行につながる件です。

題に「サンドボックス越え」を含む勧告は3件です。2026年2月の設定ファイルへの書き込みの件、4月のリンクをたどる書き込みの件、6月の Git の作業ツリーの扱いの件です。このほか、コマンドの検査の不備で作業フォルダの外に書けた件が、2025年11月から2026年2月にかけて4件出ています。作業フォルダの外への書き込みは、勧告で繰り返し扱われてきた型です。

4月の GHSA-vp62-r36r-9xqp：サンドボックスと編集の組み合わせの前例

今回と構図が近いのは、2026年4月20日の勧告 GHSA-vp62-r36r-9xqp（CVE-2026-39861、深刻度「高」）です。この勧告では、サンドボックスが、中のプロセスが外を指すリンクを作ることを防いでいませんでした。そのリンクの先に Claude Code が書き込むと、サンドボックスの外で動く処理がリンクをたどり、利用者の確認なしに外へ書き込んだとされています。

勧告は当時、サンドボックスの中のコマンドも、外で動くアプリも、単独では作業フォルダの外に書けないが、その組み合わせで任意の場所に書けた、と説明しています。修正版は 2.1.64 で、npm の公開は3月3日でした。今回の件は、リンクを作る時点ではなく、検査のあとの入れ替えで同じ境界を越えた点で、4月の修正の後にも残っていた経路です。

4月の勧告は、悪用の確実な条件として、信頼できない内容を Claude Code の文脈に入れ、プロンプトインジェクション（AI への指示の紛れ込ませ）でサンドボックスの中のコードを動かすことを挙げていました。今回の勧告は、悪意のあるリポジトリや依存関係のスクリプトを例に挙げています。どちらも、リポジトリを開くことが入口になりうる点で共通しています。

修正の配布から公表まで：過去の勧告では5日から152日

Claude Code の勧告は、修正版の配布より後に公開されるのが通例です。32件のうち、修正版の npm の公開時刻を確かめられた31件で、修正版の公開から勧告の公開までの日数を数えると、最短は5日、最長は152日でした。中央値は40日です。今回の58日は中央値より長く、31件のうち9件が58日を超えています。

最長の152日は、10月5日に公開された TOCTOU の勧告 GHSA-5j29-h97v-84ch です。10月9日に公開されたプラグインの固定の迂回の勧告も、修正から114日後の公開でした。10月に公開された Claude Code の勧告3件は、いずれも修正から58日以上たっていました。修正の配布と勧告の公開の間隔について、Anthropic が決まりを公表しているかどうかは確認できませんでした。

勧告の多くは、決まった文で「標準の自動更新の利用者には修正が届いている」と書いています。勧告の公開の時点で多くの利用者がすでに修正版に移っていることは、修正前に中身が広まって悪用される危険を下げる効果があります。一方で、版を固定した環境の管理者が欠陥の存在を知るのは、勧告の公開の時点です。

9月の GitSpawn：リポジトリを開くことが入口になった事例

リポジトリを開くことが入口になる事例は、9月にも報じられました。セキュリティ企業 Manifold Security が公表した GitSpawn です。業界団体 Cloud Security Alliance（CSA）の9月3日の研究ノートによると、リポジトリに含まれる Git の設定によって、AI のコーディング支援の道具が開いた時点でコードが実行されうる、という内容です。対象は7種の道具で8件でした。

7種には、Claude Code、Codex、Cursor などが含まれます。CSA の研究ノートによると、コードは道具のサンドボックスの外で、開発者の権限で動きました。Claude Code では、1つの経路が 2.1.196 で修正済みで、別の経路は9月1日時点の 2.1.252 で未修正とされています。成立には、リポジトリが Git の管理用フォルダごと、圧縮ファイルや外付けの記憶装置などで届く必要がありました。

GitSpawn と今回の欠陥は、仕組みが違います。GitSpawn は Git の設定がサンドボックスを経ずにコードを動かす件で、今回はサンドボックスの中のコードが、外で動く編集ツールを使って外に書く件です。共通するのは、信頼できないリポジトリを AI の道具で開いて作業させることが、悪用の起点になっている点です。

現時点で分かっていないこと

10月26日の勧告、npm の記録、変更履歴、説明書、第三者の報告で確かめられなかった点は次の5つです。どれも続報で変わりえます。

1. 実際の悪用の有無。勧告には悪用についての記載が無い
2. Linux（bubblewrap を使う環境）が対象かどうか。勧告は macOS だけを明記し、Linux には触れていない
3. 変更履歴が挙げた Read と Write の修正が、今回の勧告と同じ欠陥かどうか
4. 10月26日に公開された CodeAnt AI の報告が、今回の勧告と同じ欠陥を指すかどうか
5. CVE-2026-88968 の公的な記録の公開時期。10月26日 20時39分 UTC 時点で、NVD と CVE の登録機関の記録は見つからなかった

勧告は、上書きされうるファイルを「利用者が書き込めるファイル」とだけ書いています。上書きの結果、どのような被害につながりうるかの具体例は、勧告にはありません。10月26日時点で、今回の勧告を報じた主要な報道機関の記事は、確認した範囲では見つかりませんでした。

Anthropic が利用者に案内していること

Anthropic は勧告で、標準の自動更新を使っている利用者には修正が自動で届いていると説明しました。手動で更新している利用者には、最新の版に更新するよう求めています。勧告が修正版として示したのは 2.1.251 で、10月26日時点の通常の最新版は 2.1.310 です。

勧告には、更新のほかの回避の方法や、悪用の跡を確かめる方法の案内はありません。サンドボックスの設定や、ファイルの道具の権限の規則についての説明は、Claude Code の公式の説明書にあります。説明書は、サンドボックスの中のコマンドが書き込める範囲と、ファイルの道具が権限の規則に従うことを分けて記しています。

• 確認した日時：2026年10月26日から27日（日本時間）。anthropics/claude-code の勧告36件、npm の公開時刻、2.1.251 の変更履歴、サンドボックスの説明書、CodeAnt AI の報告、GitSpawn についての CSA の研究ノートを確認しました
• Linux での扱い、CVE の公的な記録、第三者の報告との関係は、続報で変わる可能性があります
• 入れ替えの具体的な方法、時間の合わせ方、検証用のコードは扱っていません。欠陥の仕組みは勧告の要約の範囲で記しています

まとめ

2026年10月26日、Anthropic が Claude Code の編集ツールの欠陥 CVE-2026-88968 の勧告を公開しました。macOS で、サンドボックスの中で動くプロセスが、検査のあとに作業フォルダの中の親ディレクトリをリンクに入れ替えると、外で動く編集ツールが作業フォルダの外のファイルを上書きしえました。深刻度は「高」、CVSS 第4.0版で7.7です。悪用には、サンドボックスの中で攻撃者のコードが動くことが必要です。

修正版の 2.1.251 は8月28日に npm で公開され、勧告の公開までは58日でした。自動更新の利用者には修正が届いており、版を固定した環境が対象として残ります。Claude Code の勧告で TOCTOU の分類が付いたのは10月の2件で、リンクの扱いの欠陥は今回を含め7件です。悪用の有無、Linux での扱い、変更履歴と第三者の報告との関係は、10月26日時点で分かっていません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。